VPN entreprise : fonctionnement, usages et bonnes pratiques de sécurité

Un VPN d’entreprise établit un tunnel chiffré entre un utilisateur ou un site distant et le réseau interne de l’organisation, afin de rendre accessibles des ressources internes depuis l’extérieur sans les exposer directement sur Internet. Il reste présent dans la quasi-totalité des systèmes d’information, tout en étant devenu l’une des principales portes d’entrée exploitées par les attaquants. Cette page traite le VPN sous l’angle professionnel uniquement : architectures, protocoles, vulnérabilités et articulation avec le ZTNA, dans le prolongement de notre couverture de la cybersécurité en entreprise.

Qu’est-ce qu’un VPN d’entreprise ?

Définition. Un VPN d’entreprise est un dispositif qui crée un tunnel chiffré entre un terminal ou un site distant et le réseau de l’organisation, afin d’assurer la confidentialité des échanges et de donner accès à des ressources internes sans les publier sur Internet.

Ce qui le distingue d’un VPN grand public

La confusion est fréquente et lourde de conséquences. Un VPN grand public sert à masquer l’adresse IP d’un utilisateur et à chiffrer son trafic vers un fournisseur tiers. Un VPN d’entreprise sert à raccorder un utilisateur ou un site à un réseau détenu par l’organisation, avec authentification, gestion des droits et journalisation. Les deux partagent une technologie de tunnel, rien d’autre. Un VPN grand public installé sur un poste professionnel ne protège pas l’entreprise : il crée un canal non maîtrisé qui échappe au filtrage et à la supervision.

Le rôle du VPN dans une architecture de sécurité

Le VPN chiffre le transport et contrôle l’entrée. Il ne contrôle pas ce qui se passe ensuite. C’est cette limite qui explique sa position ambivalente : indispensable pour certains usages, insuffisant comme modèle d’accès général.

Les architectures VPN professionnelles

Le choix du protocole a un impact direct sur l’exploitation. IPsec reste la référence pour les interconnexions de sites. SSL/TLS domine l’accès distant utilisateur, avec le confort du navigateur et le risque associé aux portails web exposés. WireGuard s’impose progressivement grâce à une base de code réduite, donc à une surface d’audit plus faible et à des performances supérieures. OpenVPN conserve une base installée large, avec une exigence de configuration soignée.

Le VPN, principale porte d’entrée des intrusions

C’est le point que les contenus généralistes n’abordent pas, et c’est le plus important pour une équipe IT.

Le concentrateur VPN est par construction exposé sur Internet, disponible en permanence, et il donne accès au réseau interne. Ce triptyque en fait la cible prioritaire. Les vulnérabilités critiques affectant les équipements de bordure sont exploitées de manière massive dans les jours qui suivent la publication d’un correctif, souvent avant que les organisations n’aient planifié leur fenêtre de maintenance.

Les scénarios d’intrusion les plus fréquents :

• Vulnérabilité non corrigée sur le concentrateur ou le portail SSL.
• Identifiants valides sans second facteur, obtenus par dérobeur d’identifiants ou par phishing. Voir notre section logiciels malveillants.
• Compte de prestataire resté actif après la fin d’une mission.
• Accès trop large accordé par le tunnel, qui transforme une compromission unitaire en compromission de segment.

Ce dernier point est structurel. Le VPN accorde un accès réseau, pas un accès applicatif. Une fois le tunnel monté, l’attaquant voit ce que voit l’utilisateur, c’est-à-dire souvent bien plus que ce dont l’utilisateur a besoin. C’est ce qui rend le déplacement latéral si rapide lors des attaques par rançongiciel.

Comment sécuriser un VPN d’entreprise

• Imposer l’authentification multifacteur sur tous les accès, sans exception pour les comptes techniques ou les prestataires. C’est la mesure au meilleur rapport effet sur effort.
• Traiter les correctifs de bordure en urgence. Contractualiser un délai de correction sur les vulnérabilités critiques des équipements exposés, distinct du cycle de patch management ordinaire.
• Restreindre le périmètre accessible par le tunnel. Segmentation, pas d’accès à plat vers l’ensemble du réseau interne.
• Appliquer le moindre privilège par population. Un prestataire n’a pas besoin du même périmètre qu’un administrateur.
• Superviser les connexions. Authentifications depuis des localisations inhabituelles, connexions simultanées, volumétrie anormale. Ces journaux doivent alimenter le SIEM ou la plateforme XDR.
• Contrôler la posture du terminal avant l’ouverture du tunnel : conformité, correctifs, présence d’un agent EDR actif.
• Arbitrer le split tunneling en connaissance de cause : il soulage la bande passante mais retire une partie du trafic de la supervision.
• Réviser les comptes à chaque fin de mission ou de contrat.

Ces mesures recoupent directement les exigences de contrôle d’accès et de gestion des vulnérabilités attendues au titre de la conformité NIS2.

VPN ou ZTNA : comment arbitrer

Le ZTNA (Zero Trust Network Access) applique au niveau applicatif la logique décrite dans notre section Zero Trust. Il change trois choses.

La bascule n’est ni immédiate ni totale. Le VPN conserve sa pertinence sur plusieurs usages : interconnexions site-à-site, protocoles non applicatifs, accès à des systèmes historiques incompatibles avec un connecteur, environnements industriels. La trajectoire observée dans la majorité des organisations est une coexistence de plusieurs années, avec un transfert progressif des populations et des applications les plus exposées vers le ZTNA, souvent dans le cadre plus large d’une convergence SASE.

La décision se prend sur un critère simple : si le facteur limitant est la surface exposée et l’étendue des accès accordés, le ZTNA répond. Si le facteur limitant est le raccordement de réseaux, le VPN reste l’outil adapté.

Explorer le cluster Cybersécurité

Cette page fait partie de notre couverture de la cybersécurité en entreprise : menaces, architectures de défense, conformité et gestion de crise.

iTPro+ : recevez chaque semaine l’analyse des menaces et les décisions d’architecture qui comptent pour les équipes IT.